Utilizzo delle chiavi di crittografia gestite dal cliente

Per impostazione predefinita, Workflows cripta i dati archiviati inattivi. Google Cloud gestisce e gestisce questa crittografia predefinita per conto tuo senza altre azioni da parte tua.

Se hai requisiti normativi o di conformità specifici relativi alle chiavi che proteggono i tuoi dati, puoi utilizzare chiavi di crittografia gestite dal cliente (CMEK) per Workflows. Il flusso di lavoro e i dati at-rest associati sono tramite una chiave di crittografia a cui solo tu puoi accedere e a cui puoi accedere controllare e gestire con Cloud Key Management Service (Cloud KMS).

Cosa è protetto con CMEK

Quando esegui il deployment di un flusso di lavoro, puoi specificare una chiave Cloud KMS. Questa chiave viene utilizzato per criptare il flusso di lavoro e le sue esecuzioni:

• Un flusso di lavoro richiede un file di origine che contiene un flusso di lavoro valido definizione di Kubernetes. Questo file di origine è criptato usando la chiave.

• Un'esecuzione del flusso di lavoro esegue l'attuale definizione del flusso di lavoro (uno specifico revisione del flusso di lavoro). Utilizzando la chiave associata alla revisione del flusso di lavoro in deployment, il flusso di lavoro compilato, nonché qualsiasi esecuzione archiviata di input, output e runtime siano criptati. Sono inclusi argomenti di esecuzione, risultati, errori ed eccezioni; consegnato Eventi Eventarc; e di callback e HTTP.

Prima di iniziare

Prima di utilizzare CMEK in Workflows, completa i seguenti passaggi:

1. Abilita le API.

   Console

   1. Enable the Cloud KMS and Workflows APIs.

      Enable the APIs

   gcloud

   1. In the Google Cloud console, activate Cloud Shell.

      Activate Cloud Shell

      At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

   2. Aggiorna i componenti di gcloud.

      gcloud components update
      

   3. Abilita le API Cloud KMS e Workflows per il progetto in cui verranno archiviate le tue chiavi di crittografia.

      gcloud services enable cloudkms.googleapis.com workflows.googleapis.com
      

2. Cloud KMS produce Cloud Audit Logs quando le chiavi sono abilitate, disabilitato o utilizzato dalle risorse Workflows per criptare e decriptare e i dati di Google Cloud. Accertati che la registrazione è abilitata per l'API Cloud KMS nel tuo progetto e che hai deciso quali autorizzazioni e ruoli specifici del logging si applicano al tuo caso d'uso. Per maggiori informazioni le informazioni, vedi Informazioni sugli audit log di Cloud KMS.

Crea un keyring e una chiave di Cloud KMS

Puoi creare un nuovo keyring o utilizzarne uno esistente. All'interno del keyring, puoi aggiungere una nuova chiave o utilizzarne una esistente.

1. Crea un keyring.

2. Crea una chiave per un keyring specificato.

Recupera l'ID risorsa per una chiave Cloud KMS

L'ID risorsa per una chiave Cloud KMS è obbligatorio quando abiliti CMEK per un flusso di lavoro. In questo documento, vedi Abilita CMEK per un flusso di lavoro.

Concedi all'agente di servizio Workflows l'accesso alla chiave

Devi concedere l'agente di servizio Workflows il Autore crittografia/decrittografia CryptoKey Cloud KMS il ruolo Identity and Access Management (IAM) per poter accedere a Cloud KMS chiave:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring RING_NAME \
    --location LOCATION \
    --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-workflows.iam.gserviceaccount.com \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

A condizione che l'agente di servizio disponga di roles/cloudkms.cryptoKeyEncrypterDecrypter , un flusso di lavoro nel tuo progetto può criptare e decriptare i relativi dati utilizzando chiave. Se revochi questo ruolo o se disabiliti o elimini la chiave CMEK, verrà non è possibile accedere ai dati. In questo documento, vedi Disabilita Cloud KMS.

Abilita CMEK per un flusso di lavoro

Quando crei un flusso di lavoro dopo averlo aggiornato, puoi specificare la chiave Cloud KMS per la crittografia dei dati.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --kms-key=KEY \
    --location LOCATION \
    --service-account=SERVICE_ACCOUNT

Tieni presente quanto segue:

• Le revisioni e le esecuzioni del flusso di lavoro vengono criptate con la chiave specificata l'orario del deployment; le risorse precedentemente criptate con una chiave precedente criptati con la chiave precedente. Se in seguito un flusso di lavoro viene modificato e chiave specifica, la revisione del flusso di lavoro viene criptata con la nuova chiave e tutte le esecuzioni successive utilizzeranno la nuova chiave.
• Le revisioni ed esecuzioni dei flussi di lavoro con crittografia non CMEK in precedenza non rimangono criptato.
• Se disabiliti CMEK per una revisione del flusso di lavoro, tutte le esecuzioni successive verranno creato senza la crittografia CMEK. In questo documento, vedi Disabilita CMEK per un flusso di lavoro. Revisioni dei flussi di lavoro e rimangono criptate con le chiavi che erano usate in precedenza criptato.

Verifica l'integrazione di Cloud KMS

Puoi verificare l'integrazione CMEK visualizzando i metadati per un flusso di lavoro.

gcloud workflows describe WORKFLOW_NAME \
    --location=LOCATION

createTime: '2022-08-10T19:57:58.233177709Z'
cryptoKeyName: projects/PROJECT_NAME/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME
name: projects/PROJECT_NAME/locations/LOCATION/workflows/WORKFLOW_NAME
revisionCreateTime: '2022-11-18T19:44:04.933633237Z'
revisionId: 000009-8be
serviceAccount: projects/PROJECT_NAME/serviceAccounts/SA_NAME@PROJECT_NAME.iam.gserviceaccount.com
sourceContents:
[...]
state: ACTIVE
updateTime: '2022-11-18T19:44:05.171793128Z'

Disabilita CMEK per flusso di lavoro

Puoi disattivare CMEK per un flusso di lavoro in modo che non utilizzi più Chiave Cloud KMS.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --clear-kms-key \
    --service-account=SERVICE_ACCOUNT

Questa operazione disabilita CMEK per la revisione corrente del flusso di lavoro e per eventuali successive vengono create senza la crittografia CMEK. Flusso di lavoro esistente le revisioni e le esecuzioni rimangono criptate con le chiavi con cui erano criptato in precedenza.

Disabilita Cloud KMS

Se desideri revocare l'accesso ai dati al tuo flusso di lavoro o alle relative esecuzioni, puoi eseguire una delle seguenti operazioni per disabilitare Cloud KMS:

• Disattiva o elimina la versione della chiave primaria del tuo e la chiave di crittografia gestita dal cliente. La disattivazione della versione di una chiave CMEK comporta la sospensione l'accesso a tutti i dati protetti da quella versione della chiave. L'eliminazione della versione di una chiave la controparte permanente di questa azione. Entrambe influiscono solo sui flussi di lavoro esecuzioni del flusso di lavoro associate alla chiave specifica. Non puoi creare nuove esecuzioni o visualizzare le risorse associate chiave eliminata o eliminata. Tutte le esecuzioni attive non riusciranno e genereranno un errore corrispondente per creare un nuovo messaggio email.

• Revoca il cloudkms.cryptoKeyEncrypterDecrypteril ruolo IAM Agente di servizio Workflows. Ciò influisce su tutti i flussi di lavoro Progetto Google Cloud che supporta la crittografia tramite CMEK. Non puoi creare nuovi flussi di lavoro ed esecuzioni integrati con CMEK o visualizzare risorse criptate con CMEK. Qualsiasi esecuzione attiva non andrà a buon fine e .

Sebbene nessuna delle due operazioni garantisca la revoca istantanea dell'accesso, In genere le modifiche IAM si propagano più velocemente. Per ulteriori informazioni, consulta Coerenza delle risorse di Cloud KMS e Propagazione delle modifiche dell'accesso.

Risoluzione dei problemi

Potresti riscontrare errori quando utilizzi Cloud KMS con Workflows. La tabella seguente descrive i diversi problemi e come risolverli.

Come viene gestito uno stato di una chiave non disponibile

Se per qualche motivo Cloud KMS non è disponibile, Workflows potrebbe non essere in grado di recuperare lo stato della chiave da Cloud KMS.

Se lo stato della chiave non è disponibile, verrà restituito il flusso di lavoro o la sua esecuzione. un valore state: UNAVAILABLE e i relativi dettagli nel campo stateError.

Se lo stato della chiave non è disponibile durante l'esecuzione di un flusso di lavoro (ad ad esempio se un'autorizzazione viene revocata durante un callback), si verifica un errore di runtime, che restituisce un valore state: FAILED e i dettagli correlati nel campo error.

Prezzi

Questa integrazione non comporta costi aggiuntivi oltre alle operazioni chiave, fatturati nel tuo progetto Google Cloud. Per i prezzi attuali per le informazioni, consulta la pagina sui prezzi di Cloud KMS.